취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요공공미국 국방부(펜타곤) 산하 국방인력데이터센터(DMDC)가 해킹을 당해 약 300만 명의 개인정보가 유출됐습니다. 피해자는 생존자 276만 명과 사망자 29만 4천 명으로, 현역·예비역 군인과 그 가족 등이 포함됩니다. 공격자는 2025년 10월부터 올해 7월 16일 발견될 때까지 암호화되지 않은 개인정보가 저장된 파일 공유 시스템에 접근해 사회보장번호, 이름, 생년월일, 연락처, 인종, 성별, 군 특기 정보 등을 열람했습니다. 국방부는 아직 정보 오남용 정황은 없다고 밝혔지만 누가 접근했는지, 자료가 복사됐는지는 공개하지 않았습니다. 이번 사건은 최근 ShinyHunters의 FBI 직원 정보 탈취 주장에 이어 미국 연방기관을 노린 또 다른 침해 사례입니다.
자세히 보기
중요기업MacSync는 Mac 사용자를 노리는 정보 탈취형 악성코드(인포스틸러)로, 2025년 처음 등장한 뒤 2026년 9월 대폭 업그레이드된 새 버전이 발견됐습니다. 이번 변종은 가짜 암호화폐 지갑 앱 'Toria'로 위장해 배포되며, Apple의 iCloud 캘린더 파일 안에 악성 명령어를 숨기는 새로운 방식을 사용해 탐지를 피합니다. 감염되면 브라우저 저장 비밀번호·쿠키, 암호화폐 지갑 데이터, macOS 키체인(Keychain) 파일, SSH·AWS·Git 설정 파일 등 민감 정보가 광범위하게 유출됩니다. 또한 백도어(원격에서 시스템을 몰래 제어하는 악성 프로그램)가 함께 설치되어 공격자가 브라우저 트래픽을 가로채거나 추가 악성 파일을 배포할 수 있습니다. 개발자와 암호화폐 사용자를 주요 표적으로 삼고 있어 기업 내부망 침투로 이어질 위험이 높습니다.
자세히 보기
중요기업네덜란드 학술 출판사 Elsevier의 주요 도메인 3개가 약 78분간 LAPSUS$ 그룹을 사칭하는 페이지로 강제 이동(리다이렉트)되는 사건이 발생했습니다. 공격자는 Elsevier의 DNS 레코드 또는 CDN(콘텐츠 전송 네트워크) 설정을 변경해 방문자를 납치된 페이지로 보낸 것으로 추정되며, Cloudflare의 리다이렉트 규칙이 조작됐다는 주장도 있습니다. 피해 도메인에는 메인 홈페이지, 의료교육 학습관리 포털, 논문 투고 포털이 포함돼 사용자 로그인 정보 유출 여부가 우려됩니다. Elsevier는 현재까지 공식 입장을 내놓지 않았으며, 계정 정보 탈취 여부도 확인되지 않았습니다. 한편 이번 사건에 쓰인 LAPSUS$ 브랜드는 2022년 이후 사실상 해체된 것으로 알려져 있었으나, 최근 들어 동일 브랜드를 내건 공격 활동이 다시 포착되고 있어 주의가 필요합니다.
자세히 보기
기업사기꾼들이 단돈 249달러짜리 웹사이트 제작 툴킷을 이용해 연간 최대 2,000달러짜리 가짜 AI 구독 서비스를 판매하는 사기 네트워크가 발견됐습니다. 이 사이트들은 GPT-6 Astra, PixAI 등 실존하는 AI 서비스 이름을 도용하고, 진짜 Google 로그인 화면을 연결해 이용자들이 정식 서비스로 착각하게 만듭니다. Malwarebytes는 이런 방식으로 구축된 사이트 100개 이상을 확인했으며, 모두 동일한 개발자 정보와 파일 구조를 공유해 단일 운영자나 연계 집단의 소행으로 추정됩니다. Google 로그인이 성공했다고 해서 그 서비스가 신뢰할 수 있다는 뜻은 아니며, 실제로 구독 비용을 지불한 후 환불이나 분쟁 해결이 매우 어렵습니다. 사이트 URL이 원하는 제품의 공식 주소와 일치하는지 반드시 직접 확인하는 것이 중요합니다.
자세히 보기
중요기업일본 소프트웨어 기업 Helpfeel이 운영하는 스크린샷 공유 서비스 Gyazo가 해킹 공격을 받아 약 2,362만 건의 이용자 개인정보가 유출됐습니다. 공격자는 이미지 업로드 서버의 취약점을 악용해 시스템에 침투한 뒤 임의 명령을 실행(RCE, 원격에서 시스템을 마음대로 조작할 수 있는 공격)했으며, 이름·이메일·비밀번호 해시·로그인 세션 등 민감한 정보가 대거 노출됐습니다. 이미지 관련 메타데이터는 약 4억 9,000만 건에 달하며, GPS 위치 정보(EXIF)와 이미지 내 텍스트(OCR) 데이터까지 포함돼 피해 범위가 광범위합니다. 비밀번호를 재사용하고 있는 이용자는 다른 서비스 계정도 위험에 처할 수 있어 즉시 비밀번호를 변경해야 합니다. 현재 Gyazo 서비스는 점검 중이며 재개 일정은 미정입니다.
자세히 보기
중요기업공격자들이 공식 HBO Max의 Reddit 계정(u/hbomax)을 탈취한 뒤, 해당 계정의 신뢰도 높은 광고 권한을 악용해 48시간 동안 108개의 허위 광고를 게재했습니다. 이 광고는 'ClickFix'라는 사회공학 기법을 이용해 피해자가 직접 악성 명령어를 자신의 컴퓨터에 입력하도록 유도합니다. macOS와 Windows 모두를 표적으로 삼았으며, 브라우저 저장 비밀번호·암호화폐 지갑·메신저 데이터 등을 훔치는 여러 종류의 악성코드가 사용됐습니다. 특히 공격 인프라 일부가 블록체인 스마트 컨트랙트에 저장돼 추적과 차단이 어렵습니다. 검증된 공식 계정이 악용된 만큼, 플랫폼 광고라도 무조건 신뢰해선 안 된다는 점을 다시 한번 상기시켜 줍니다.
자세히 보기
기업아직 출시되지 않은 게임 'GTA 6'의 불법 다운로드를 미끼로 악성 프로그램 꾸러미를 배포하는 공격이 발견됐습니다. 보안 기업 Huntress가 분석한 결과, 해당 파일 안에는 원격 제어 도구(RAT), 정보 탈취 악성코드, 파괴형 랜섬웨어 등 여러 종류의 악성 프로그램이 한꺼번에 포함돼 있었습니다. 설치 과정에서 가짜 오류 메시지로 사용자를 속이는 동안, 백그라운드에서 악성 프로그램이 자동으로 설치되는 방식입니다. 특히 랜섬웨어 기능은 금전 요구보다는 파일 완전 파괴(와이퍼)를 목적으로 활용되고 있어 피해가 심각할 수 있습니다. 최신 Windows Defender로 탐지가 가능하며, 미출시 게임의 불법 다운로드는 절대 시도하지 말 것을 권고합니다.
자세히 보기
금융22세 청년 Malone Lam이 소셜 엔지니어링(사람을 속여 정보를 빼내는 수법)을 이용해 피해자들의 암호화폐 지갑에서 2억 4,500만 달러(약 3,300억 원) 이상을 훔쳐 자금 세탁한 혐의로 유죄를 인정했습니다. 이 조직은 온라인 게임 플랫폼에서 만난 사람들로 구성됐으며, 피해자를 속여 지갑 접근 정보를 얻거나 심지어 피해자 집에 직접 침입하기도 했습니다. 훔친 돈은 나이트클럽 비용, 전용기, 수억 원대 슈퍼카 등 사치품에 탕진됐습니다. Lam은 2025년 9월 마이애미에서 체포되어 워싱턴 D.C. 연방법원에서 조직범죄 공모 혐의로 유죄를 인정했습니다. 기업 보안 담당자 입장에서는 임직원 대상 소셜 엔지니어링 훈련과 암호화폐 자산 보호 절차 점검이 중요합니다.
자세히 보기
